【セキュリティホール】情報交換【バグフィックス】

1 ：以下キムチ：03/02/03 00:43 ID:???.net

おまいら、セキュリティホールはふさぎましょう

2 ：名無しさん＠お腹いっぱい。：03/02/03 00:46 ID:pR8E4KfR.net

僕の肛門は大丈夫です

3 ：初期不良：03/02/03 00:59 ID:???.net

UNIX の場合 apache と openssl, openssh は
ソースから入れるのが基本と言うことでよろ

4 ：名無しさん＠お腹いっぱい。：03/02/03 01:02 ID:???.net

最近修正された重要なセキュリティホールはなんですか

と話題を振ってみる

5 ：初期不良：03/02/03 01:32 ID:???.net

鯖立ててる人は少ないかも知れないけど
CVS のセキュリティホールは影響する範囲大きかったんでは？

6 ：名無しさん＠お腹いっぱい。：03/02/03 01:47 ID:lABqbDu3.net

常時age

7 ：名無しさん＠お腹いっぱい。：03/02/03 02:02 ID:???.net

とりあえず
日本のくらっくサイト情報
ttp://tsukachan.dip.jp/

8 ：以下キムチ：03/02/03 02:20 ID:lABqbDu3.net

ここもチェック！

セキュリティ情報(SIDFM）
http://sid.softek.co.jp/

9 ：初期不良：03/02/03 02:30 ID:???.net

セキュリティホール memo
http://www.st.ryukoku.ac.jp/~kjm/security/memo/

ちょっと変な主張も混じっちゃっている気もしないでもないが...

10 ：名無しさん＠お腹いっぱい。：03/02/03 02:31 ID:???.net

>>4
Apache1.3.26のやつじゃないの？

11 ： ：03/02/03 21:58 ID:???.net

セキュリティーホールっていうか
鯖をほったらかしの奴が多すぎ
正直見てらんない(見まくりだけど)

12 ：名無しさん＠お腹いっぱい。：03/02/03 22:32 ID:???.net

>>11
見るなよ(w

13 ：DNS未登録さん：03/02/06 22:09 ID:kD74+UxK.net

アップデートage

14 ：DNS未登録さん：03/02/06 22:13 ID:C8Ivm0Cm.net

名スレの予感

15 ：DNS未登録さん：03/02/06 22:37 ID:???.net

JPCERT/CC
ttp://www.jpcert.or.jp/
セキュリティ情報のメーリングリストあり
ウイルス・ワーム、各種ソフトの脆弱性情報などが送られてきます

各ディストリビューションのメーリングリストに入っておくのも大吉
Debian-usersなんかだとパッケージの更新情報とかも送られてきます
その時点で自分の環境判断してパッケージ更新すればＯＫ
結構助かってます

>>11
ニムダとか、あいかわらず多いですね。

16 ：DNS未登録さん：03/02/07 01:56 ID:???.net

昨日の朝、Windows用IEのアップデートモジュールが公開されました。
Windows系はすべて「Windows Update」を実行してみてください。

17 ：DNS未登録さん：03/02/07 02:07 ID:???.net

■マイクロソフト、IEに関する“緊急”のセキュリティホールを警告
ttp://internet.watch.impress.co.jp/www/article/2003/0206/ms.htm

18 ：DNS未登録さん：03/02/07 02:56 ID:NZ01YVcZ.net

Windows UpDate　重・・・
それに今日はやけにアタックが多いいなぁ

19 ：DNS未登録さん：03/02/07 03:15 ID:WQTUxQAr.net

>>18
たしかにWindowsUPdate　重いな…
age

20 ：DNS未登録さん：03/02/09 06:08 ID:U/h7lpkF.net

ねーねー、韓国に割り当てられてるIPの範囲ってわかる人いない？
半島完全シャットアウトしたいんだけど。
最近、mail relay狙ってくるバカﾁｮﾝ大杉。

21 ：DNS未登録さん：03/02/09 07:28 ID:???.net

>>20
http://pc2.2ch.net/test/read.cgi/php/1019888234/240-241

22 ：DNS未登録さん：03/02/09 10:01 ID:???.net

>>20
ちゃんとそのスレがあるぞ。
http://pc.2ch.net/test/read.cgi/sec/997431887/

23 ：DNS未登録さん：03/02/10 03:39 ID:qeXomiim.net

>>21 >>22

やっぱりみんな困ってたのね。
ありがとー。じっくり読んでみまつ。

24 ：DNS未登録さん：03/02/10 06:25 ID:sM/0xtbB.net

>>20-23
すごくスレ違いなのに
すごくほのぼのした

25 ：DNS未登録さん：03/02/13 11:04 ID:ymMPq3Lu.net

PHP4.3.0以前に実行ユーザ権限乗っ取りの穴
(wordwrap()関数を使っている場合)
http://www.ciac.org/ciac/bulletins/n-042.shtml

26 ：DNS未登録さん：03/02/13 11:22 ID:???.net

うぉ！今朝、めっちゃウインドウが開きまくってる！
なにこれ？
メッセンジャーは止めたんだけどなぁ・・・

やっぱ初心者にはサーバー運営は無理なのかなぁ・・・
みなさんファイアーウォールとかやっぱつけてるんですか？
ZoneAlarmでもいい？

27 ：DNS未登録さん：03/02/13 12:07 ID:???.net

>>25
半年に1回ペースでセキュリティホールUzeeeeeeeeeeeeeeeeeeeeeeeee

28 ：DNS未登録さん：03/02/13 12:43 ID:???.net

>>25
ｻﾝｸｽｺ!
早速PHP5に替えますた。

29 ：DNS未登録さん：03/02/14 12:36 ID:???.net

[] CIAC Bulletin N-038
Microsoft Cumulative Patch for Internet Explorer
http://www.ciac.org/ciac/bulletins/n-038.shtml

Microsoft Internet Explorer (以降 MSIE) 5.01、5.5 および 6.0 には、
cross-domain security model に関連した脆弱性があります。結果として、遠
隔から第三者が Web ページや HTML 形式の電子メールなどを経由して、MSIE
を実行しているユーザの権限を取得する可能性があります。この問題は、
Microsoft が提供する修正プログラムを適用することで解決します。

関連文書 (日本語)
マイクロソフト セキュリティ情報
Internet Explorer 用の累積的な修正プログラム (810847) (MS03-004)
http://www.microsoft.com/japan/technet/security/bulletin/MS03-004.asp

30 ：DNS未登録さん：03/02/14 12:36 ID:???.net

[] CIAC Bulletin N-040
Red Hat Xpdf Packages Vulnerability
http://www.ciac.org/ciac/bulletins/n-040.shtml

xpdf バージョン 2.01 およびそれ以前のバージョンに含まれている pdftops
には脆弱性があります。結果として、遠隔から第三者が PDF 形式のファイル
を経由して、プログラムを実行しているユーザの権限を取得する可能性があり
ます。

この問題は、ベンダや配布元が提供するパッチを適用する、もしくはパッケー
ジを更新することで解決します。

関連文書 (日本語)
Red Hat Linux セキュリティアドバイス RHSA-2003:037-09
Xpdfパッケージのアップデート
http://www.jp.redhat.com/support/errata/RHSA/RHSA-2003-037J.html

Turbolinux Security Advisory TLSA-2003-3
xpdf 整数オーバーフローの問題
http://www.turbolinux.co.jp/security/TLSA-2003-3j.txt

関連文書 (英語)
Debian Security Advisory DSA-222-1
xpdf -- integer overflow
http://www.debian.org/security/2003/dsa-222.en.html

Debian Security Advisory DSA-226-1
xpdf-i -- integer overflow
http://www.debian.org/security/2003/dsa-226.en.html

31 ：DNS未登録さん：03/02/14 12:37 ID:???.net

[] CIAC Bulletin N-039
Microsoft Unchecked Buffer in Windows Redirector Vulnerability
http://www.ciac.org/ciac/bulletins/n-039.shtml

Microsoft Windows XP の Windows リダイレクタには、バッファオーバーフロー
の脆弱性があります。結果として、ローカルユーザが管理者権限を取得する可
能性があります。この問題は、Microsoft が提供する修正プログラムを適用す
ることで解決します。

関連文書 (日本語)
マイクロソフト セキュリティ情報
Windows リダイレクタの未チェックのバッファにより権限が昇格する (810577) (MS03-005)
http://www.microsoft.com/japan/technet/security/bulletin/MS03-005.asp

32 ：DNS未登録さん：03/02/14 12:37 ID:???.net

[] CIAC Bulletin N-042
Updated PHP packages available
http://www.ciac.org/ciac/bulletins/n-042.shtml

PHP には、wordwrap() 関数にバッファオーバーフローの脆弱性があります。
結果として、遠隔から第三者が PHP スクリプトを実行しているユーザの権限
を取得する可能性があります。対象となるのは以下のバージョンです。

PHP バージョン 4.1.2 より後、且つ 4.3.0 より前のバージョン
(4.1.2 と 4.3.0 は含まれず)

この問題は、PHP をバージョン 4.3.0 (もしくはそれ以降) に更新する、また
はパッケージを更新することで解決します。

関連文書 (日本語)
Red Hat Linux セキュリティアドバイス RHSA-2003:017-06
PHPパッケージのアップデート
http://www.jp.redhat.com/support/errata/RHSA/RHSA-2003-017J.html

関連文書 (英語)
PHP: Hypertext Preprocessor
http://www.php.net/

33 ：DNS未登録さん：03/02/14 12:37 ID:???.net

[] CIAC Bulletin N-043
Red Hat openldap Vulnerabilities
http://www.ciac.org/ciac/bulletins/n-043.shtml

OpenLDAP には、複数のバッファオーバーフローの脆弱性があります。結果と
して、遠隔から第三者がサーバプログラムを実行しているユーザの権限を取得
するなどの様々な影響を受ける可能性があります。この問題は、ベンダや配布
元が提供するパッチを適用する、もしくはパッケージを更新することで解決し
ます。

関連文書 (日本語)
Red Hat Linux セキュリティアドバイス RHSA-2003:040-07
openldapパッケージのアップデート
http://www.jp.redhat.com/support/errata/RHSA/RHSA-2003-040J.html

Turbolinux Security Advisory TLSA-2003-5
openldap バッファーオーバーフローの問題
http://www.turbolinux.co.jp/security/TLSA-2003-5j.txt

関連文書 (英語)
Debian Security Advisory DSA-227-1
openldap2 -- buffer overflows and other bugs
http://www.debian.org/security/2003/dsa-227.en.html

34 ：DNS未登録さん：03/02/14 12:38 ID:???.net

[] CIAC Bulletin N-041
Sun Linux Vulnerabilities in "unzip" and GNU "tar" Commands
http://www.ciac.org/ciac/bulletins/n-041.shtml

unzip と GNU tar には、アーカイブ中のファイルの名前に「..」が含まれて
いる場合、そのアーカイブの展開時に任意のファイルを上書きしてしまう脆弱
性があります。結果として、ローカルユーザが root 権限を取得する可能性が
あります。

この問題はベンダや配布元が提供するパッチを適用する、もしくはパッケージ
を更新することで解決します。

関連文書 (英語)
Free Sun Alert Notifications Article 47800
Sun Linux Vulnerabilities in "unzip" and GNU "tar" Commands
http://sunsolve.sun.com/pub-cgi/retrieve.pl?doc=fsalert/47800

関連文書 (日本語)
Red Hat Linux セキュリティアドバイス RHSA-2002:096-24
unzipとtarパッケージのアップデート
http://www.jp.redhat.com/support/errata/RHSA/RHSA-2002-096J.html

Vine Linux errata
tar にセキュリティホール
http://vinelinux.org/errata/25x/20021101.html

Vine Linux errata
unzip にセキュリティホール
http://vinelinux.org/errata/25x/20021101-2.html

Turbolinux Japan Security Center
tar ファイルを上書きされてしまう問題
http://www.turbolinux.co.jp/security/tar-1.13.17-7.html

Turbolinux Japan Security Center
unzip ファイルを上書きされてしまう問題
http://www.turbolinux.co.jp/security/unzip-5.50-1.html

HP社セキュリティ報告: HPSBTL0209-068
unzipおよびtarにおけるセキュリティ脆弱性
http://www.jpn.hp.com/upassist/assist2/secbltn/HPSBTL0209-068.html

35 ：DNS未登録さん：03/02/14 12:39 ID:???.net

[] CIAC Bulletin N-037
Multiple Vulnerabilities in Old Releases of MIT Kerberos
http://www.ciac.org/ciac/bulletins/n-037.shtml

MIT Kerberos 5 のリリース 1.2.4 およびそれ以前のリリースには、複数の脆
弱性があります。結果として、遠隔から第三者がシステムなどにアクセスする
権限を取得する可能性があります。この問題は、MIT Kerberos 5 をリリース
1.2.5 またはそれ以降のリリースに更新することで解決します。

関連文書 (英語)
MIT krb5 Security Advisory 2003-001
Multiple vulnerabilities in old releases of MIT Kerberos
http://web.mit.edu/kerberos/www/advisories/MITKRB5-SA-2003-001-multiple.txt

36 ：DNS未登録さん：03/02/14 12:39 ID:???.net

[] CIAC Bulletin N-036
Updated Kerberos Packages Fix Vulnerability in ftp Client
http://www.ciac.org/ciac/bulletins/n-036.shtml

Kerberos ftp クライアントには、ファイル名の処理に脆弱性があります。結
果として、遠隔から第三者が ftp クライアントを実行しているユーザの権限
を取得する可能性があります。この問題は、ベンダが提供するパッチを適用す
る、もしくはパッケージを更新することで解決します。

関連文書 (日本語)
Red Hat Linux セキュリティアドバイス RHSA-2003:020-10
kerberosパッケージのアップデート
http://www.jp.redhat.com/support/errata/RHSA/RHSA-2003-020J.html

37 ：DNS未登録さん：03/02/14 12:40 ID:???.net

[] 株式会社日本レジストリサービス(JPRS)
ウィルス・ワーム等への対処としてフィルタリングを行う場合の注意
http://jpinfo.jp/topics/030207.html

ワームの感染を防ぐために特定のポートへのアクセスを制限する際に注意すべ
き点を紹介した文書です。特に Microsoft SQL Server 2000 の脆弱性を使っ
て伝播するワーム MS-SQL Sever Worm (別名: SQL Slammer など) の場合を例
として紹介しています。

関連文書 (日本語)
社団法人日本ネットワークインフォメーションセンター (JPNIC)
ウィルス・ワーム対策のためのフィルタリングがDNSに及ぼす影響について
http://www.nic.ad.jp/ja/dns/filtering.html

hp OpenView サポート
hp OpenView製品におけるSlammer/SQL Expワームの感染について
http://www.jpn.hp.com/openview/support/fy03/030127.html

JPCERT/CC Alert 2003-01-27
UDP 1434番ポートへのスキャンの増加に関する注意喚起
http://www.jpcert.or.jp/at/2003/at030001.txt

JPCERT/CC REPORT 2003-01-29号
http://www.jpcert.or.jp/wr/2003/wr030401.txt

JPCERT/CC REPORT 2003-02-05号
http://www.jpcert.or.jp/wr/2003/wr030501.txt

38 ：DNS未登録さん：03/02/14 12:43 ID:???.net

>>37
へたに、UDP 1434番ポート塞ぐと、DNSがおかしくなる場合があるらしい。
（ってこと？）

39 ：DNS未登録さん：03/02/14 12:47 ID:???.net

>>38
http://saya.c-moon.jp/index.php?d=200302-B&cid=12-02#12-02
ってことっぽ。

40 ：名無しさん＠カラアゲうまうま：03/02/14 12:52 ID:???.net

named.conf の options{} の中に

query-source address * port 53;

と書いとけ。常に 53 で問い合わせるようになるので、
53 以外の全 UDP ポートを塞げる。

41 ：DNS未登録さん：03/02/14 17:22 ID:???.net

>>40
ポートが予測可能になるのは別のセキュリティ上の懸念がある。
http://djbdns.qmail.jp/djbdns/forgery.html

42 ：初期不良：03/02/14 19:18 ID:8iVDViQx.net

ふつうダイナミックパケットフィルタリングで外からの
UDP も必要なもの以外全部はじくもんじゃないのか？
んでもし 1434 で listen している場合は
ランダムソースアドレスには使われないから
穴があくこともない

43 ：名無しさん＠カラアゲうまうま：03/02/14 19:19 ID:???.net

うん知ってる。
でも、起動のたびにランダムでも、ポートが固定であることには変わらんので、
常に同じ値にしたところでそれほどセキュリティの低下にはならんと思ってる。

44 ：DNS未登録さん：03/02/14 21:13 ID:???.net

ああそうか、BINDなら確かに変わらんな。
dnscacheはクエリーごとにランダムだから違いが出るけど

45 ：DNS未登録さん：03/02/15 10:00 ID:???.net

- --------------------------------------------------------------------------
Debian Security Advisory DSA 251-1 security@debian.org
http://www.debian.org/security/ Martin Schulze
February 14th, 2003 http://www.debian.org/security/faq
- --------------------------------------------------------------------------

Package : w3m, w3m-ssl
Vulnerability : HTML のクオート処理の抜け
Problem-Type : リモート
Debian-specific: いいえ
CVE Id : CAN-2002-1335 CAN-2002-1348

- --------------------------------------------------------------------------

46 ：DNS未登録さん：03/02/16 18:26 ID:???.net

なんか急に
TCPポート:17300
へのアクセスが増えてる・・・
何事？

47 ：DNS未登録さん：03/02/17 20:56 ID:???.net

ポート3389と17300へのポートスキャンが増えているようです。
3389：リモートデスクトップ
17300：Kuang2TheVirusというTrojan。

48 ：DNS未登録さん：03/02/18 08:11 ID:/25wrRCy.net

PHP 4.3.1出てます。
CGIの脆弱性が修正されてます。
http://www.php.net/downloads.php

> PHP 4.3.1 released in response to CGI vulnerability
> [17-Feb-2003] The PHP Group today announced the details of a serious
> CGI vulnerability in PHP version 4.3.0. A security update, PHP 4.3.1, fixes
> the issue. Everyone running affected version of PHP (as CGI) are encouraged
> to upgrade immediately. The new 4.3.1 release does not include any other changes,
> so upgrading from 4.3.0 is safe and painless.

49 ：DNS未登録さん：03/02/18 20:48 ID:???.net

>>48
Apacheのモジュールとして使ってるなら大丈夫？

50 ：以下キムチ：03/02/20 05:51 ID:mh4Mfr0L.net

xpdfにバッファオーバーフローだってさ
自宅サバ板的には関係ないか…

51 ：初期不良：03/02/21 04:24 ID:BqXDw0xx.net

ちょと情報遅いけど
openssl0.9.7a リリース
暗号アタックの可能性だとか

52 ：DNS未登録さん：03/02/21 13:34 ID:???.net

>>48
http://ns1.php.gr.jp/pipermail/php-users/2003-February/013911.html

53 ：DNS未登録さん：03/02/26 13:07 ID:???.net

Webmin, Userminにroot権限奪取のセキュリティホール

概要:
Webmin および Usermin を動作させる Web サーバプログラムである miniserv.pl には、セッション ID を偽造させることのできる問題が存在します。

問題を確認したバージョン:
Webmin Version: 1.060
Usermin Version: 0.990

ttp://www.lac.co.jp/security/intelligence/SNSAdvisory/62.html

54 ：DNS未登録さん：03/03/04 00:50 ID:5Z3DQwaC.net

age

55 ：DNS未登録さん：03/03/04 03:52 ID:???.net

http://www.sendmail.org/
>Sendmail 8.12.8 is available; it contains a fix for a critical
>security problem discovered by Mark Dowd of ISS X-Force

56 ：DNS未登録さん：03/03/04 10:39 ID:iB7Hhvef.net

Sendmail における深刻なセキュリティ脆弱性について
http://www.ipa.go.jp/security/ciadr/20030303sendmail.html
>最悪の場合、攻撃者は root 権限を取得してしまいます。

57 ：名無しさん＠カラアゲうまうま：03/03/04 11:34 ID:???.net

外部から SMTP 接続を許可していない場合でも、構成によっては
乗っ取られる可能性があるので注意。プライベートアドレスでも危険。
わからん奴はとにかく早急にアップデートせよ。

58 ：DNS未登録さん：03/03/04 11:44 ID:Mxhn/E2p.net

http://www.agemasukudasai.com/bloom/

59 ：DNS未登録さん：03/03/04 13:18 ID:???.net

　　　ま　　た　　s　　e　　n　　d　　m　　a　　i　　l　　か

60 ：DNS未登録さん：03/03/04 13:50 ID:Q/86S1rd.net

cert.orgも早急にアップデートしる。

$ nslookup -query=MX cert.org
cert.org preference = 10, mail exchanger = beniaminus.red.cert.org

$ telnet beniaminus.red.cert.org 25
220 beniaminus.red.cert.org ESMTP Sendmail 8.11.6/8.11.6/1.7

61 ：tantei：03/03/04 13:52 ID:???.net

★あなたのお悩み解決致します！！
●浮気素行調査
彼氏、彼女、妻、夫の浮気を調査致します！！
●盗聴器盗撮機発見
あなたの部屋に誰かが仕掛けているかも！！
●行方調査
行方不明になっている家族の消息を調査致します！！
●電話番号から住所割り出し
一般電話、携帯から住所を割り出し致します！！
●ストーカー対策
社会問題ともなっているストーカーを撃退致します！！
その他人生相談からどんなお悩みでも解決いたします！！
　直通　　０９０−８５０５−３０８６
ＵＲＬ　　http://www.h5.dion.ne.jp/~grobal/
メール　　hentaimtt@k9.dion.ne.jp
　　　グローバル探偵事務局　

62 ：DNS未登録さん：03/03/04 15:47 ID:iB7Hhvef.net

>>6025 番叩いて 8.11.6 が出たからって穴があるとは限らないよ。sendmail.8.11.6.security.cr.patch 当ててもバージョン番号は変わらないし。

63 ：DNS未登録さん：03/03/04 15:49 ID:iB7Hhvef.net

>>62
う、改行コードが腐った
--
>>60
25 番叩いて 8.11.6 が出たからって穴があるとは限らないよ。
sendmail.8.11.6.security.cr.patch 当ててもバージョン番号は変わらないし。

64 ：DNS未登録さん：03/03/04 18:26 ID:???.net

sendmailを使っているというだけでセキュリティホール。

65 ：DNS未登録さん：03/03/05 07:09 ID:???.net

>>64
まあまあ。世の中sendmail使ってる鯖がほとんどというのも事実。
それにsendmailだって設定さえちゃんとできる香具師なら
あれでかなりセキュアなメールサーバーになるのよ。
ただしマトモにsendmailを設定できる人間がいないというだけで…

66 ：DNS未登録さん：03/03/06 07:23 ID:???.net

どのような設定だったらマモトなのでしょうか？

67 ：DNS未登録さん：03/03/06 09:24 ID:???.net

まともに設定できる人間がいないのでわかりません。

68 ：名無しさん＠Ｅｍａｃｓ：03/03/07 16:16 ID:npyvmEdR.net

bind-9.2.1って、どうなんだろうか。

69 ：DNS未登録さん：03/03/07 18:41 ID:???.net

知らぬわ！

70 ：DNS未登録さん ：03/03/07 23:47 ID:???.net

最近 bind9 微妙にﾘﾋﾞｼﾞｮﾝあがってるね。
うち Debian(woody)だけど、こないだあぷげとしたら、
9.2.1-2.woody.1 −＞ 9.2.1-2.woody.2
になりますただ。

71 ：DNS未登録さん：03/03/08 04:05 ID:???.net

それはBINDのバージョンじゃなくてDebianが勝手につけてる番号じゃないのか?
つーか、今あげるなら9.2.2だろ。

72 ：名無しさん＠お腹いっぱい：03/03/08 10:50 ID:???.net

9.2.2 、debian なら unstable だな
bind9 (1:9.2.1-2.woody.1 Debian:3.0r1a/stable, Debian-Security:3.0/stable)
bind9 (1:9.2.1-4 Debian:testing)
bind9 (1:9.2.2-1 Debian:unstable)

73 ：DNS未登録さん：03/03/08 10:53 ID:Yy0c1Lfu.net

snort ： RPC の前処理(defragment)に buffer overflow あり
ttp://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0033

バージョンあげる(->1.9.1)か、rpc_decode行をコメントにすべし

74 ：DNS未登録さん：03/03/10 19:14 ID:???.net

445番にお客さんが多いと思ったら、これですた

TCPポート445番をスキャンするトロイの木馬型ウイルス「DELODER」
ttp://internet.watch.impress.co.jp/www/article/2003/0310/deloder.htm

75 ：DNS未登録さん：03/03/10 19:56 ID:???.net

BINDくらい自分でコンパイルしろよ・・
./configure
make
make install
これで終わりじゃん・・・

76 ：DNS未登録さん：03/03/10 20:43 ID:???.net

>>75
つれないみたいだね

77 ：DNS未登録さん：03/03/10 22:19 ID:???.net

そんな時もあるさ

78 ：DNS未登録さん：03/03/12 04:56 ID:dwmtN8xb.net

deloder age

79 ：DNS未登録さん ：03/03/12 14:43 ID:???.net

なんかここ２、３日、こどれど 多くないですか？

80 ：DNS未登録さん：03/03/12 20:05 ID:???.net

>>79
http://www.symantec.com/region/jp/sarcj/data/c/codered_ii.html

亜種だってよ。

81 ：DNS未登録さん：03/03/12 21:31 ID:???.net

>>79
そうですね。

感染を目的とする攻撃を受けると IIS/apacheのログが残ります。
・Code Red「GET /default.ida?NNNNN〜」
・Code Red II「GET /default.ida?XXXXX〜」

あいかわらずニムダが多いのですが、
うちの方も、ここ最近２日、Code Red II「GET /default.ida?XXXXX〜」
が多くなりました。
（さっきまで、Win2K上の黒氷がピーピー鳴ってました。）

卒業とか入学祝いで春厨がﾊﾟｿ新規購入、ネット接続で感染？
でも、WinXPって感染するのか？

82 ：DNS未登録さん：03/03/12 22:14 ID:???.net

- - [12/Mar/2003:19:28:42 +0900] "GET /default.ida?XXXXXXXXXX[中略]HTTP/1.0" 200 -
- - [12/Mar/2003:19:28:42 +0900] "GET /default.ida?XXXXXXXXXX[中略]HTTP/1.0" 200 -

こんなん混じってたよ〜[apacheログ]
慌ててシマンティクの駆除ツールDLして走らせたけど
Code Red/II/F検知なしと報告が…はて?

83 ：DNS未登録さん：03/03/13 00:08 ID:???.net

"Deroder"はvncをインスコしてirc鯖に宣伝しに逝くらしい。

84 ：DNS未登録さん：03/03/13 00:43 ID:???.net

>>82
Windows+IISじゃなければ、大丈夫だと思われ。
ただ、単にログが残るだけです。

それより、apacheのバージョンとかは、大丈夫？
1.x系列または、2.x系列の最新入れてますか？

85 ：専守防衛 ◆g.v5EmdBmg ：03/03/13 00:48 ID:???.net

ここ10日間くらいにiptablesで叩き落されたパケットの集計。
21/tcp …5回
25/tcp …1回
80/tcp …20回
111/tcp …4回
137/udp …645回
139/tcp …1回
443/tcp …3回
445/tcp …39回
1052/udp …5回
1080/tcp …1回
1433/tcp …5回
1434/udp …12回
3128/tcp …1回
3389/tcp …1回
28431/udp …1回

最後の28431/udpって、なに?
何かのワームが仕掛けるバックドア?

86 ：DNS未登録さん：03/03/13 00:56 ID:???.net

>>85
なんのサーバー？

87 ：84：03/03/13 01:04 ID:???.net

>>84
ほい、了解。
他のは404/403出てたけど、コイツ(国内IPアドレス)だけ200に成ってたから、心配してました。

Apacheのバージョンも大丈夫ですよ。

>>85
Hack Attack 2000でつよ。
(トロイの一種)

88 ： ◆tzy.sWKD/I ：03/03/13 01:04 ID:???.net

>>85
http://catnap.virtualave.net/tips/tips-network.htm
>・バックドアやトロイの木馬で使われるPort番号
>28431 UDP YES Hack Attack 2000

89 ：むむむ ◆aczsMUMUMU ：03/03/13 01:05 ID:???.net

>>88
おお、ここは新セッティングサーバか。

90 ：82：03/03/13 01:05 ID:???.net

間違えた…84× 82○だった…逝ってきまつ。

91 ：むむむ ◆aczsMUMUMU ：03/03/13 01:07 ID:???.net

>>87
あ、かぶったすね。
# 仕事に戻ります。明日から10日ほど在米の人。

92 ：DNS未登録さん：03/03/13 01:20 ID:???.net

3015はなんでつか？

# proto source port port opts
13 tcp 211.135.255.206 80 3015 -af---
1 tcp 211.135.255.206 80 3015 -a-r--

93 ：専守防衛 ◆g.v5EmdBmg ：03/03/13 01:28 ID:???.net

>>86
いや、ただの自宅鯖です。 (Debian GNU/Linux 3.0)
外部からは、職場からだけセッションを張れるようにしてあります。
内部からは、主に串(っつーか防火壁)として使っています。

インターネットの怖さを何も知らない愛する妻とそのパソコンを、
ただ黙って守っていまつ。

…例の完全匿名化squidです。


>>87-88
ほぉ、そういうヤツですか。参考にします。
# URLｻﾝｸｽ

94 ：DNS未登録さん：03/03/13 10:12 ID:???.net

>>82 >>84 >>87
うちも、200 のヤツがきてるんだけど、２件ばかし。
（Debian + apache）
他の GET /default.ida?XXX･･･ は、404 なんだけど．．．
これだけ、どうして、200 なのかなぁ？
大丈夫なんだろうけど、気になる。
どなたか教えて下さいませ。

95 ：DNS未登録さん：03/03/13 14:25 ID:???.net

>>82
HTTP 200 OKはヤバくないか？
というか何でApache使ってるのにdefault.idaへのリクエストが200 OKになるのか
考えよう。
とりあえず200を出したリクエストと404のリクエストを比べてみよう。
というか、ワームを発射したヤシが送ってきたリクエストヘッダ見にゃ解らんと思うが。
漏れは今まで（今も）200になった事はないぞ。404と400だけ。

96 ：DNS未登録さん：03/03/13 14:28 ID:???.net

>>92
そんぐれぇ調べろやﾊｹﾞ!

97 ：初期不良：03/03/13 16:07 ID:UgpRdZ94.net

>>95
うちの場合 host ヘッダ無しのアクセスを転送してるせいで
200 は存在しないな... 全部 302
そう言うの以外でも 200 になる場合が本当にあるのかどうか興味あるね

98 ：DNS未登録さん：03/03/13 16:50 ID:pTg/B7Kq.net

>>69
一応ﾏｼﾞﾚｽする。




知っとけYO、それくらい！w

99 ：DNS未登録さん：03/03/13 21:26 ID:???.net

だから9.2.2リリースなんでしょ？

100 ：DNS未登録さん：03/03/14 16:35 ID:???.net

2003.3.8 Postfix Version 2.0.5, 2.0.6 が続けてリリースされています。
2.0.6 では sendmail のヘッダ処理に関するセキュリティホールへの対策が含まれているので、
特にゲートウェイで Postfix を使っている場合にはアップデートをお勧めします。
1.1.12, 20010228-pl08 に対する同様のパッチも出ています。